Wir sind eine estnische Rechtsberatung, die die Regulierung von Kryptowährungen in der Praxis erlebt hat: Lizenzen, Aufsicht, verschärfte Anforderungen, Abwanderung eines Teils des Marktes aus der Jurisdiktion. Parallel arbeiten wir täglich mit KI-Tools und begleiten KI-Projekte. Deshalb sprechen wir nicht aus theoretischer, sondern aus erfahrungsbasierter Perspektive.
Regulierung um der Regulierung willen bremst
Regulierung ist nur sinnvoll, wenn sie ein objektives, messbares Risiko abdeckt. Solche Bereiche gibt es, aber nur wenige: KI bei der Steuerung des Verkehrs, in Medizinprodukten, in kritischer Infrastruktur sowie in Systemen, die Menschen physisch oder rechtlich schaden können – indem sie über Freiheit, Zugang zu Arbeit oder Kredite entscheiden.
Das sind nur wenige Bereiche. Alles andere – ein Modell, das Code schreibt, Dokumente analysiert, Texte und Bilder generiert oder Forschende unterstützt – birgt kein Risiko, das ein eigenes Genehmigungsregime erfordern würde. Zumal führende Modelle bereits heute mit integrierten Sicherheitsmechanismen veröffentlicht werden und Entwickler auch bei diesem Kriterium miteinander konkurrieren.
Wenn eine Regulierungsbehörde „etwas einschränken“ will, ohne bereits zu verstehen, was genau und vor welchem Schaden, ist das kein Schutz der Gesellschaft. Es ist Angst vor Unverstandenem, gefasst in einen Rechtsakt. Der Preis dieser Angst sind verlorene Unternehmen, verlorene Arbeitsplätze und verlorene Führungspositionen.
Was heute in der EU tatsächlich gilt
Damit die Diskussion konkret bleibt, halten wir fest, was im September 2026 tatsächlich in Kraft ist.
Verordnung über KI (AI Act, Verordnung (EU) 2024/1689). Das weltweit erste umfassende horizontale KI-Gesetz trat am 1. August 2024 in Kraft und wird schrittweise nach vier Risikostufen angewendet: Je höher der potenzielle Schaden, desto strenger die Anforderungen.
Was bereits gilt:
- Verbotene Praktiken (Artikel 5) – seit Februar 2025. Social Scoring, manipulative Systeme, bestimmte Arten biometrischer Identifizierung. Ab dem 2. Dezember 2026 kommt das Verbot von Systemen zur Erstellung intimer Bilder ohne Einwilligung sowie von Darstellungen sexuellen Kindesmissbrauchs hinzu.
- Pflichten von Anbietern allgemeiner KI-Modelle (GPAI) – die Artikel 51–55 gelten seit August 2025. Dazu gehören Dokumentation, Einhaltung von Urheberrechten und bei Modellen mit systemischem Risiko die Bewertung und Minderung von Risiken.
- Transparenzpflichten (Artikel 50) – seit dem 2. August 2026. Information der Nutzer über die Interaktion mit KI, Kennzeichnung generierter Inhalte und Deepfakes. Bei Systemen, die bereits auf dem Markt waren, wurde die Kennzeichnung synthetischer Inhalte bis zum 2. Dezember 2026 verschoben.
Was verschoben wurde – und das ist bezeichnend. Am 27. Juli 2026 trat der Digital Omnibus on AI (Verordnung (EU) 2026/1744) in Kraft, der die schwerwiegendsten Pflichten verschob:
- für eigenständige Hochrisikosysteme (Anhang III – HR, Kreditvergabe, Bildung, Strafverfolgung usw.) – vom 2. August 2026 auf den 2. Dezember 2027;
- für KI, die in Produkte unter sektoraler Regulierung integriert ist (Anhang I – Medizinprodukte, Maschinen, Verkehr) – vom 2. August 2027 auf den 2. August 2028;
- nationale regulatorische „Sandboxen“ müssen bis zum 2. August 2027 in Betrieb sein.
Der von der Europäischen Kommission selbst genannte Grund für die Verschiebung: Weder Unternehmen noch Normungsorganisationen (CEN/CENELEC) noch die Konformitätsbewertungsinfrastruktur waren bereit. Mit anderen Worten: Das Gesetz wurde geschrieben, bevor man verstand, wie es umgesetzt werden sollte. Das ist die beste Veranschaulichung unserer These: Eine Regulierung, die dem Verständnis voraus ist, funktioniert nicht einmal für die Regulierungsbehörde selbst.
Nationale Ebene. Bis August 2025 mussten die Mitgliedstaaten Aufsichtsbehörden benennen und Sanktionen festlegen. Bis zum Frühjahr 2026 hatten dies nur wenige Länder getan. In Estland wurde bislang kein separates Umsetzungsgesetz verabschiedet; daran arbeiten das Ministerium für Justiz und digitale Technologien, während die Datenschutzinspektion (AKI) ihren Ruf als pragmatische und verhältnismäßige Regulierungsbehörde bewahrt.
Unsere Position
-
Wir unterstützen KI-Projekte. In Estland, in Europa und darüber hinaus. Wir sind überzeugt, dass die Entwicklung von KI die Entwicklung der Menschheit ist, und möchten, dass die Unternehmen, die sie schaffen, hier tätig sind, statt in Jurisdiktionen mit klareren Regeln abzuwandern.
-
Wir befürworten die Regulierung objektiver Risiken – und nur dieser. Verkehr, Medizin, kritische Infrastruktur, Entscheidungen, die Menschenrechte berühren. Hier sind Anforderungen begründet, und wir helfen dabei, sie zu erfüllen.
-
Wir sind gegen drakonische Regulierung. Gegen Verbote „für alle Fälle“, gegen Genehmigungsregime für etwas, das keinen Schaden verursacht, gegen Regeln, die ohne Verständnis der Technologie geschrieben wurden.
-
Wenn es Regulierung gibt, helfen wir Ihnen bei der Erfüllung. Klassifizierung des Systems nach Risikostufe, Pflichten des Anbieters und Deployer, Dokumentation, Transparenz, Zusammenarbeit mit Aufsichtsbehörden, Vorbereitung auf die Fristen 2027–2028, regulatorische Sandboxen. Unsere Erfahrung mit der Kryptowährungsregulierung hat uns das Wesentliche gelehrt: Compliance ist kein Hindernis für Unternehmen, sondern eine Möglichkeit, bei sich ändernden Regeln weiterzuarbeiten.
Regulierung muss Menschen schützen, nicht die Regulierungsbehörde davor schützen, sich mit Neuem auseinandersetzen zu müssen. Wir werden auf der Seite derjenigen arbeiten, die aufbauen.
